AutoJack: a vulnerabilidade de AutoGen Studio que converte um navegador IA em porta de entrada para seu sistema

Pesquisadores da Microsoft publicaram uma análise técnica de uma cadeia de exploração chamada AutoJack converte um agente de navegação com IA em um vetor de execução remota de comandos no sistema anfitrião. O ataque não requer credenciais ou interação adicional do usuário uma vez que o agente carrega a página maliciosa: basta que o agente abra um URL controlado pelo atacante (por exemplo, através de um link incorporado ou uma injeção de prompt) e o JavaScript dessa página alcance um serviço local privilegiado e lance um processo em nome da conta que executa o AutoGen Studio.

A falha reside na implementação do AutoGen Studio, a interface de prototipagem de AutoGen, e como expõe um canal chamado MCP WebSocket. A vulnerabilidade é a soma de três erros de design: tratar localhost como um limite de confiança, omitir a autenticação em rotas MCP por assumir que o handler verificaria tokens, e executar sem filtros o comando recebido a partir de um parâmetro do pedido. O resultado é que um site aberto pelo agente local se comporta efetivamente como se fosse local e pode ordenar ao serviço privilegiado que execute arbitrariamente binários.

Um detalhe operacional que mudou o risco real para a maioria dos usuários é a distribuição: a versão estável publicada no PyPI no momento do relatório (0.4.2.2) não expunha a rota MCP vulnerável, pelo que uma instalação padrão com pip install autogenstudio Não estava afetada. No entanto, versões pré-release (0.4.3.dev1 e 0.4.3.dev2) incluíam o handler vulnerável e foram publicadas em PyPI; pip não instala pré-releases a menos que se peça explicitamente com --pre ou se fije a versão, pelo que aqueles que instalaram essas builds ficaram expostos. A Microsoft publicou o endurecimento no código- fonte principal; o arranjo move os parâmetros para o servidor após uma sessão de um único uso e forçou a passagem pela autenticação normal. O repositório oficial está em https://github.com/microsoft/autogen e o pacote publicado aparece em https://pypi.org/project/autogenstudio/.

Do ponto de vista do risco, a exploração permite RCE com os privilégios da conta que executa o AutoGen Studio, o que pode levar a exfiltração de segredos, instalação de persistência ou movimentos laterais se essa conta tiver acesso amplo. A Microsoft descreveu a pesquisa como tal e não relatou exploração em estado ativo na natureza, mas o padrão subjacente — um agente que navega conteúdo não confiável e serviços locais com excesso de poder — aparece já em outros achados, como os problemas relacionados ao Semantic Kernel (registrados em CVE, por exemplo na base do NVD) e amostras de vetores de phishing com resumos de páginas.

Se você usa AutoGen Studio ou desenvolve agentes com capacidade de navegar na web, há medidas imediatas e práticas que você deve aplicar. Primeiro, verifique qual versão você tem instalado: busca versões com sufixo dev ou pré-release em seu ambiente ( pip freeze ou pip show auto-genstudio) e, se você instalou uma build pré-release do ramo 0.4.3.dev*, assume que você está em risco. Até que haja uma release oficial com o adesivo, a solução segura é extrair o ramo main atualizado do repositório e implantar a partir dessa fonte ou voltar à versão estável conhecida sem MCP exposta.

Se você não puder atualizar imediatamente, reduz a superfície de ataque: não execute AutoGen Studio na mesma máquina que agentes que carregam conteúdo não confiável. Aísla processos em contentores ou máquinas virtuais separados, executa o serviço sob uma conta com mínimos privilégios, e bloqueia o acesso a serviços locais sensíveis desde ambientes de navegação automatizados. Em paralelo, exige autenticação rigorosa para qualquer controle plano local e aplica uma política de allowlist para qualquer execução de processos a partir de serviços internos.

Para desenvolvedores e mantenedores de marcos de agentes, a lição é clara e recorrente: localhost não é um perímetro de segurança confiável. Desenhar rotas administrativas que confiem em que um origin seja 127.0.0.1 é perigoso quando agentes locais navegam páginas externas. Implementa sempre a autenticação no plano de controlo, evita ler comandos a partir de parâmetros de URL, armazena parâmetros críticos no servidor por trás de identificadores de sessão de um único uso, e aplica verificações de autorização e allowlists no servidor antes de iniciar processos.

Finalmente, para os responsáveis pelo risco e equipamento de resposta, isto é um lembrete para auditar arquiteturas de agentes: identifica serviços locais com capacidade de execução, revisa como são expostos (sockets, WebSockets, APIs REST), confirma que passam por middleware de autenticação e que não aceitam instruções diretas de conteúdo web somado ao agente. Os problemas que permitiram AutoJack não são exclusivamente de AutoGen Studio; o padrão pode ser repetido em outras implementações de agentes que combinam navegação web aberta com controle local poderoso. Para referência técnica sobre vulnerabilidades similares e seus CVE associados, consulta o NVD em https://nvd.nist.gov/ e mantenha vigiadas as publicações do repositório oficial de AutoGen no GitHub.